rsyslog 过滤和转发

Question

我正在尝试使用 rsyslog 虚拟机实现过滤和转发。

当我使用时

*.* @@192.168.1.100:514

它将所有日志转发到该日志服务器。

我需要做的是过滤掉包含'testing'和'flow'的日志，并阻止来自本地主机的日志被发送到日志服务器。

我尝试了很多方法来实现这种组合，但都失败了。使用过滤器后，我只是没有收到任何到目的地的日志。

rsyslog.conf剩下的完整内容是

# rsyslog configuration file

# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html

#### MODULES ####

# The imjournal module bellow is now used as a message source instead of imuxsock.
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
#$ModLoad imklog # reads kernel messages (the same are read from journald)
#$ModLoad immark  # provides --MARK-- message capability

# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

#### GLOBAL DIRECTIVES ####

# Where to place auxiliary files
$WorkDirectory /var/lib/rsyslog

# Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf

# Turn off message reception via local log socket;
# local messages are retrieved through imjournal now.
$OmitLocalLogging on

# File to store the position in the journal
$IMJournalStateFile imjournal.state

#### RULES ####
if $msg contains 'testing' then @@192.168.1.100:514
#*.* @@192.168.1.100:514

我的配置不起作用。

Answer 1

首先，请注意$IncludeConfig /etc/rsyslog.d/*.conf 这一行。基本上是说所有.conf 文件都将包含在您粘贴的rsyslog.conf 文件中。因此，与其将您的规则放在该文件的底部，我建议您添加另一个文件，例如/etc/rsyslog.d/30-testing.conf 并将您的规则放在那里。这更有条理，如果您的 syslog 配置在未来增长，这将很有帮助。

除此之外，如果它在没有过滤器的情况下工作，因此端口/防火墙不是问题，那么它确实应该工作 - 你的过滤器行看起来很好。您可能已经这样做了，但不妨试试：

:msg, contains, "testing"         @@192.168.1.100:514

另外，你是不是每次修改配置文件都要重启rsyslog服务？您可能需要这样做。您还可以发布您使用的 rsyslog 版本吗？